Cảnh báo lỗ hổng Prompt Injection trong AI Coding Agents: Nguy cơ từ tệp tin độc hại

• Vector tấn công: Kẻ tấn công lợi dụng các tệp tin Markdown (AGENTS.md, CLAUDE.md) chứa chỉ dẫn độc hại để thao túng hành vi của AI coding agents.
• Tác động: Cho phép kẻ tấn công cài đặt mã độc, thay đổi cấu hình hệ thống, hoặc đánh cắp OAuth tokens thông qua việc chuyển hướng API.
• Phạm vi ảnh hưởng: Các công cụ hỗ trợ lập trình AI như OpenAI Codex và Anthropic Claude Code khi được thực thi trong môi trường không an toàn.

Các chuyên gia an ninh mạng vừa công bố một phát hiện quan trọng về rủi ro bảo mật trong các tác nhân lập trình trí tuệ nhân tạo (AI coding agents). Theo đó, một tệp tin văn bản thuần túy nằm trong thư mục ~/Downloads có khả năng đánh lừa các AI agents, khiến chúng tự thay đổi cấu hình, cài đặt mã độc hoặc làm lộ các thông tin xác thực nhạy cảm.

Cơ chế tấn công thông qua tệp tin cấu hình

Nghiên cứu bắt đầu sau khi một tác nhân AI bị chặn lại khi cố gắng cài đặt gói npm độc hại có tên function-color. Các nhà phân tích đã truy vết lệnh này ngược lại một tệp tin có tên AGENTS.md nằm trong thư mục ~/Downloads của người dùng. Mặc dù tệp tin này trông giống như các ghi chú kỹ thuật thông thường, nó lại chứa các chỉ dẫn được thiết kế tinh vi nhằm điều khiển AI thực thi các hành động trái phép.

Cơ chế này tận dụng tính năng của các AI agents như OpenAI Codex và Anthropic Claude Code, vốn được thiết kế để đọc các tệp tin cấu hình (như AGENTS.md hoặc CLAUDE.md) nhằm tìm hiểu quy tắc dự án và các lệnh cần thiết trước khi bắt đầu công việc. Khi AI đọc các chỉ dẫn này như một nguồn tin cậy, nó sẽ vô tình thực thi các lệnh độc hại mà không có sự kiểm soát chặt chẽ từ người dùng.

Phân tích kỹ thuật các kịch bản khai thác

Trong các thử nghiệm kiểm soát, các nhà nghiên cứu đã chứng minh khả năng chiếm quyền điều khiển thông qua hai kịch bản chính:

• Tấn công Codex: AI bị thuyết phục thêm một máy chủ MCP (Model Context Protocol) vào tệp cấu hình ~/.codex/config.toml. Điều này cho phép kẻ tấn công khởi chạy một phiên làm việc mới với các tính năng bảo mật (sandbox) bị vô hiệu hóa, tạo ra sự duy trì (persistence) cho cuộc tấn công.
• Tấn công Claude Code: Kẻ tấn công sử dụng tệp CLAUDE.md để ép buộc Claude ghi đè giá trị ANTHROPIC_BASE_URL vào tệp .claude/settings.json. Hành động này chuyển hướng lưu lượng API của người dùng đến máy chủ do kẻ tấn công kiểm soát, từ đó đánh cắp OAuth token.

Dưới đây là bảng tổng hợp các thực thể bị ảnh hưởng và tác động kỹ thuật:

Khuyến nghị phòng thủ và giảm thiểu rủi ro

⚠️ Cảnh báo quan trọng: Tuyệt đối không khởi chạy các công cụ AI coding agents trực tiếp từ thư mục Downloads. Mọi tệp tin cấu hình lạ cần được kiểm tra kỹ lưỡng trước khi cấp quyền truy cập cho AI.

Để bảo vệ hệ thống trước các cuộc tấn công này, các đội ngũ bảo mật và lập trình viên cần thực hiện các biện pháp hardening sau:

• Kiểm soát thư mục làm việc: Luôn di chuyển các dự án vào các thư mục được quản lý chặt chẽ, tránh xa thư mục Downloads mặc định của trình duyệt.
• Giám sát cấu hình: Định kỳ kiểm tra tệp ~/.codex/config.toml để phát hiện các máy chủ MCP lạ và rà soát .claude/settings.json để đảm bảo ANTHROPIC_BASE_URL không bị thay đổi.
• Cấu hình bảo mật: Luôn duy trì các tính năng phê duyệt (approval prompts) và sandbox được kích hoạt. Hạn chế quyền truy cập mạng của các AI agents nếu không thực sự cần thiết.
• Phản ứng sự cố: Nếu phát hiện gói function-color hoặc các cấu hình bất thường, hãy coi hệ thống đã bị xâm nhập. Cần thu hồi ngay lập tức các OAuth tokens và các thông tin xác thực liên quan từ một thiết bị sạch.

Việc tích hợp các nguồn dữ liệu về mối đe dọa (Threat Intelligence) vào hệ thống SIEM/SOC là vô cùng cần thiết để phát hiện sớm các hành vi bất thường từ các AI agents. Các nhà phát triển có thể tham khảo thêm thông tin chi tiết về các chiến dịch mã độc nhắm vào chuỗi cung ứng phần mềm tại CISA để cập nhật các biện pháp phòng thủ mới nhất.